perl с ppid 1

выхлоп ps aux на пастебин

мало определить откуда он запускается, надо определить как он туда попал.

Я убил процесс по глупости. После ребута пока не появился. Пока выяснил, что он занимается тем, что запускает wget на какой-то индийский ip.

Зачем?... достаточно было ionice'ом ему приоритет опустить до минимума.

Я понимаю, но... Испугался) Какие есть способы узнать, что его запускает?

rootkithunter, интуиция, аналитический склад ума, осмотр файловой системы на предмет различных перловских скриптов, как в PATH, так и в /tmp, find и просмотр исполняемых файлов, осмотр логов, сверка контрольных сумм работающего софта с дистрибутивными, просмотр «а не было ли уязвимостей в работающем софте», lsof -i ... Короче тут комплексно надо.

>ppid

parent pid имеется в виду? тогда init его запускает.

>осмотр файловой системы на предмет различных перловских скриптов, как в PATH, так и в /tmp

Ничего криминального там нет. Интересно, что ps показывал запущенный perl без аргументов.

lsof тоже ничего интересного не показал, только пайп к процессу wget.

Логично, только вот почему он не всегда запускается после загрузки, и почему вдруг инит начал запускать его.

значит что-то им командует :) инит-скрипты перебрал?

В инит-скриптах вроде как всё-нормально. Всё-таки как может быть запущен перл без аргументов?

Кулхацкеры заменили инит своим бинарником. Какой дистрибутив хотя бы?

Как решить проблему можно? Центос.

rpm -Va для начала, но я бы не особо надеялся.

Да, ничего неожиданного. Процесс пока так и не появляется. Отсюда вывод, что его запускает что-то вне системы.

Кстати забыл сказать, что на сервере стоит cPanel и куча сайтов.

Аргументы можно подменить через изменение argv, а в случае с perl специальная переменная $0.

> тогда init его запускает.

Не обязательно. Возможно, что родительский скрипт сдох, в этом случае init усыновляет процессы-сироты.

Можно как-нибудь узнать какой конкретно скрипт выполняется интерпретатором? Можно пересобрать при желании его. Или фейковый скрипт создать, который будет логи вести и в свою очередь запускать уже perl.original? У меня уже все идеи кончились.

/proc/$pid/cmdline
/proc/$pid/environ
и прочее

>/proc/$pid/cmdline

perl .

/proc/$pid/environ

сейчас не помню, но ничего необычного.

Хотя в переменной SSH_CLIENT в environ есть странный ip.